trivy

用途：在授权测试范围内，对容器镜像、源码树和 IaC 配置进行聚焦的漏洞与配置审查，判断已知的软件包或配置风险是否影响目标，并在加固后进行可重复的复测。主要能力：扫描容器镜像漏洞、按严重级别过滤、输出 JSON 报告、扫描 Terraform 等 IaC 配置目录、扫描文件系统的漏洞/密钥/错误配置，以及汇总或全量扫描 Kubernetes 集群与命名空间。使用方式：将示例中的路径与镜像替换为已批准的范围内目标，例如 trivy image nginx:latest，或用 --severity HIGH,CRITICAL 过滤，用 --format json --output contoso-trivy.json 输出，用 trivy config ./terraform/ 扫描配置，用 trivy fs /path/to/contoso-app/ --scanners vuln,secret,config 扫描文件系统，用 trivy k8s --report summary cluster 或 trivy k8s --namespace default --report all 扫描集群。适用场景：评估容器镜像、源码树或 IaC 的实质性暴露；将结果与部署上下文关联；加固后复测。证据需保留：材料性的镜像、软件包或配置问题，确切的制品与扫描模式，问题背后的可达性或部署上下文。限制与边界：仅限已批准的制品；目标制品超出范围时避免使用；结果应作为分类输入而非未经审查的最终发现；需对发现做可达性与相关性审查，避免用低信号包噪声淹没报告。